Анализ инцидента атаки флеш-займа на сеть Cellframe

1 июня 2023 года в 10:07:55 (UTC+8) сеть Cellframe Network подверглась атаке хакеров на цепочке BSC из-за проблемы с расчетом количества токенов в процессе миграции ликвидности. Эта атака принесла хакерам прибыль около 76,112 долларов.

Анализ атак

Хакеры использовали Срочные займы и пулы ликвидности для манипуляции и проведения этой атаки. Основные шаги атаки следующие:

1. Получите 1000 BNB и 500000 токенов New Cell через Срочные займы.
2. Обменять все токены New Cell на BNB, что приведет к тому, что количество BNB в пуле приблизится к нулю.
3. Обменять 900 BNB на токены Old Cell.
4. Перед атакой хакер сначала добавил ликвидность Old Cell и BNB, получив Old lp.
5. Вызов функции миграции ликвидности, в это время в новом пуле почти нет BNB, а в старом пуле почти нет токенов Old Cell.
6. В процессе миграции, из-за манипуляции с пропорциями пула, атакующий может получить большое количество ликвидности, используя очень мало BNB и токенов New Cell.
7. Удалите ликвидность нового пула и обменяйте полученные токены Old Cell на BNB.
8. Повторите операции миграции для получения большей прибыли.

Коренная причина атаки

Проблемы с расчетом количества токенов в процессе миграции ликвидности. При миграции расчет осуществляется непосредственно на основе количества двух валют в торговой паре, что может быть подвержено манипуляциям.

Рекомендации по безопасности

1. При миграции ликвидности следует учитывать изменения количества токенов в старом и новом пулах, а также текущую цену токенов.
2. Избегайте прямого использования количества токенов в торговой паре для расчетов, это легко поддается манипуляциям.
3. Провести всесторонний аудит безопасности перед запуском кода, особенно для ключевых функций, связанных с движением средств.
4. Реализовать многоуровневый механизм проверки, чтобы обеспечить безопасность процесса миграции ликвидности.
5. Рассмотрите возможность установки лимитов на сделки или временных блокировок и других мер защиты, чтобы уменьшить потенциальные риски атак.

Это событие еще раз подчеркивает важность безопасности DeFi проектов в процессе их проектирования и реализации, особенно при обработке сложных финансовых потоков. Команды проектов должны постоянно оптимизировать меры безопасности, чтобы справляться с постоянно развивающимися методами атак.